中国电信九江分公司2026-2027年政务云新增安全服务采购项目询比公告

序号

标包名称

产品名称

规格型号

数量

交货地点

交货期

1

**电信2026-2027年政务云新增安全服务采购项目采购方案

等保

API风险检测

6

**

2026年8月30日

序号

技术指标

具体要求

1

API风险监测系统

1、硬件配置：CPU：12核24线程；内存：128GB；硬盘：2*4TB HDD、2*960GB SSD；网口：2*千兆电口, 2*万兆光口；其他配件：冗余电源+导轨

2、系统性能：流量处理峰值5Gbps，HTTP事件处理峰值3000QPS；

3、系统功能：

（1）流量解析引擎：支持流量镜像、Agent采集流量方式，可还原完整的http事件的请求和返回内容。

（2）API资产梳理引擎：支持API采样、API识别、API清单产出、API画像呈现、API定义功能。

（3）弱点发现引擎：支持识别API未鉴权、API参数可遍历等10大类50小类弱点类型。

（4）风险检测引擎：支持感知数据泄露类、账号安全类、Web攻击类数据风险。

5、配套运营服务：提供1年12次数据安全专家运营服务，服务内容包含：

（1）应用资产梳理

（2）API资产梳理

（3）API识别状态优化

（4）API敏感数据识别

（5）数据识别策略优化

（6）API扫描流量过滤

（7）API风险告警分析

（8）风险告警规则优化

（9）API弱点验证

（10）API弱点评估

（11）API弱点整改建议

（12）API弱点复核

（13）数据同步运营

服务交付物包含：

（1）《****中心数据安全运营服务报告》

（2）《****中心应用资产清单》

（3）《****中心数据接口资产清单》

（4）《****中心数据接口弱点清单》

（5）《****中心数据接口弱点报告》

（6）《****中心数据接口风险清单》

序号

技术指标

具体要求

1

SDP安全网关

****中心

性能参数：最大并发用户数（个）≥3200，最大并发用户数（个）≥2500。

硬件参数：规格：1U，内存大小≥16G，硬盘容量≥256G SSD，电源：冗余电源，接口≥8千兆电口+4千兆光口SFP+2万兆光口SFP+；≥2001套* 零信任接入授权（授权买断）;提供不少于3年维保服务;

功能要求：****管理局颁布的SM1、SM2、SM3、SM4密码算法及其协议，支持多种身份认证方式、细粒度访问权限控制等主要功能，另外可选配扩展支持UEM功能，保证远程系统接入的用户身份安全、终端/数据安全、传输安全、应用权限安全和审计安全，符合国家商用密码标准。

零信任代理网关

SSL性能参数：最**论加密流量（Mbps）≥480，最**论建议并发用户数（个）≥4800。

硬件参数：规格：1U，内存大小≥16G，硬盘容量≥256G SSD，电源：冗余电源，接口≥8千兆电口+4千兆光口SFP+2万兆光口SFP+；提供不少于3年维保服务;

功能要求：****管理局颁布的SM1、SM2、SM3、SM4密码算法及其协议，支持多种身份认证方式、细粒度访问权限控制等主要功能，另外可选配扩展支持UEM功能，保证远程系统接入的用户身份安全、终端/数据安全、传输安全、应用权限安全和审计安全，符合国家商用密码标准。

序号

技术指标

具体要求

1

渗透测试

**市政务云渗透测试服务技术规范

一、服务概述

1.1 测试范围

（一）现有市本级云上所有业务项目渗透测试及整改闭环，按照“分类分级、稳步推进”原则，结合系统复杂度及业务重要性划分测试优先级，完成全量测试及闭环处置；

（二）安全加固与配置优化服务

针对渗透测试及巡检中发现的漏洞，提供全流程安全加固技术支撑：包括操作系统（Windows、Linux、**银河等）、数据库（MySQL、Oracle等）、中间件（Tomcat、Nginx等）等配置优化，指导客户安装安全补丁、开启防火墙规则等；每季度开展1次加固效果验证；

交付成果清单：

《月度渗透进度报告》《季度渗透分析及防护建议报告》等；若本次服务目标未完成，按服务未完成进度扣减对应费用。

1.2 测试原则与边界

采用黑盒为主、灰盒为辅的测试模式，模拟真实外部攻击者行为，严格限定在授权范围内操作，禁止对非目标资产、网络基础设施或第三方系统发起探测，禁止使用可能引发业务中断的拒绝服务（DoS/DDoS）类测试手段，所有测试行为须可追溯、可审计、可回滚。

二、服务执行标准

2.1 测试频次与周期

在服务期内，服务方每年须完成不少于2轮全量渗透测试，覆盖全部目标系统。两轮测试根据甲方要求应合理分布于上半年与下半年，其中至少1轮须安排在重大活动保障（重保）期间。每轮测试前须提交《渗透测试实施方案》，明确测试对象、时间窗口、方法边界及风险控制措施，经甲方书面授权后方可实施。

三、人员配置与资质要求

3.1 驻场人员配置

服务方须指派不少于2名工程师全程驻场服务，工作地点为甲方指定办公区域，两人每周合计现场工作时间不少于80小时（人均不少于40小时），纳入甲方统一考勤管理，确保通讯畅通，应急响应2小时内到场。

3.2 职责分工

3.2.1 技术渗透与应急响应工程师（主测岗）

负责渗透测试方案设计、漏洞深度挖掘、攻击路径复现及高危风险研判；主导编写渗透测试报告，提供技术性修复建议与验证方法；在重保期间承担7×24小时应急值守，主导安全事件分析与处置；具备扎实的攻防实战能力，熟悉云环境、Web应用、API及常见中间件漏洞利用技术。

3.2.2 租户对接与安全支持工程师（协调岗）

作为服务方与各业务系统租户单位的接口人，负责日常沟通、问题解答与需求响应；协助租户理解漏洞成因、整改要求及验证标准，必要时提供远程或现场配置指导；参与基础性安全运维工作，如协助开展资产台账核对、开放端口核查、弱口令筛查、日志异常初步分析等；配合组织安全培训、漏洞复盘会及安全开发规范宣贯，提升租户单位安全意识与能力。

3.3 团队整体资质要求

整个渗透测试专项团队（含驻场及后台支撑成员）必须满足以下国家认可的资质条件：

至少1名成员持有CISP-PTE（注册信息安全专业人员-渗透测试工程师）证书；

至少1名成员持有CNVD原创漏洞证明（事件型或通用型均可）；

至少1名成员持有CISA-W或CISAW（应急服务方向）认证；

至少1名成员持有软考中级（或以上）证书。

上述资质可由同一人兼有多项，亦可由不同成员分别持有，但须在项目启动前向甲方提交完整证明材料并接受核验。渗透人员应取得国家注册渗透测试工程师（CISP-PTE）及以上资质证书，同时应取得信息安全工程师或网络工程师等中级及以上资质证书。

3.4 合规与背景要求

所有参与人员须为中华人民**国公民，无违法犯罪记录，须签署《保密承诺书》《网络安全责任书》及《背景调查授权书》，不得同时服务于存在利益冲突的其他单位，确保服务独立性与数据安全性。

四、工作内容与交付要求

4.1 渗透测试报告要求

4.1.1 报告内容规范

每份正式报告须包含以下核心内容：

测试授权范围、时间窗口及方法说明、目标系统资产清单与测试对象明细、漏洞详情（含漏洞类型、URL/路径、请求/响应报文、截图证据、复现步骤）、基于CVSS 3.1标准的风险评分及等级划分（高/中/低）、对应《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》的控制项映射（如"安全计算环境-入侵防范"）、可落地的修复建议、临时缓解措施及验证方法、整改优先级建议（按业务影响与修复难度综合评估）。

4.1.2 交付时效与格式

每个项目的渗透测试结束后5个工作日内提交报告初稿，7个工作日内提交正式版，正式报告须为PDF + Word双格式，加盖服务方单位公章，主测工程师手写签名，报告命名规则：[系统名称]渗透测试报告_V[版本号][YYYYMMDD]。

按照甲方对渗透测试数量和进度的要求，服务方须有序推进工作：每季度完成22至24个业务系统的渗透测试，全年累计目标约为80个（该总数为预估值，可根据实际资产变化、系统上线节奏或甲方统筹安排等情况在合理范围内适当调整）。

为确保时序进度可控，年度任务按季度分解为：第一季度末累计完成不少于22个，第二季度末累计不少于46个，第三季度末累计不少于70个，第四季度末力争完成约80个。在此基础上进一步细化至月度节奏，建议各季度内均衡推进，即1–3月每月完成7–8个，4–6月每月完成8个左右，7–9月每月完成8个左右，10–12月根据前期执行情况和剩余任务量动态调整月度计划。如在任一阶段发现实际进度滞后于上述时序要求，服务方应立即追加人力**投入，采取包括但不限于增派驻场工程师、**工作时间或优化测试流程等措施，全力保障整体进度不脱期。

4.1.3 保密与使用限制

报告内容属于甲方敏感信息，严禁用于非授权用途；未经甲方书面许可，不得对外披露、引用或用于其他项目。

4.2 日常工作与协同支持

4.2.1 租户答疑与技术指导

协调岗工程师须主动对接各租户单位，及时解答关于漏洞修复、安全配置、开发规范等问题，对高危漏洞提供不少于3次的技术支持（含远程或现场），直至完成有效整改，定期整理常见问题FAQ，降低重复咨询成本。

4.2.2 漏洞闭环管理

配合甲方漏洞管理平台，实现漏洞从发现、分发、修复到验证的全流程跟踪，对超期未修复的高危漏洞，出具《风险升级预警函》，并抄送安全主管单位。

4.2.3 安全培训与技术支持

每季度为客户技术团队开展1次专项安全培训，内容包括渗透测试基础、常见漏洞防护、应急响应流程、安全配置规范等，培训形式采用理论讲解+实操演示结合.提供日常安全技术咨询服务，针对客户团队提出的安全问题（如工具使用、漏洞修复、政策合规等），24小时内给予响应，复杂问题48小时内提供完整解决方案。

4.2.4 日志分析与安全态势感知

协助客户分析指定设备日志（如操作日志、安全设备日志），排查异常行为；每季度结合日志数据、漏洞数据、事件数据，输出《季度安全态势分析报告》，全面呈现客户安全状况及优化方向。

五、重大活动安全保障（重保）专项支持

5.1 重保前准备

在重保启动前15日内，完成全量系统高危漏洞复查与验证；协助制定《重保安全防护策略》《应急响应预案》及《值守排班表》。

5.2 重保期间值守

驻场人员须参与甲方值守排班，并保障7×24小时应急响应通道畅通，对异常登录、数据外泄、Webshell等事件实时研判，支持开展红蓝对抗桌面推演或轻量级实战演练。

5.3 重保后总结

重保结束后5个工作日内，提交《重保安全事件分析与改进建议报告》，内容包括攻击尝试统计、防御短板识别及后续加固优先级。

六、工具与环境合规要求

所有测试工具须为国产化软件或经国家备案授权的商业工具（如授权版Burp Suite、Nessus等），禁止使用未授权SaaS平台或境外资产测绘服务（如Shodan、Hunter.io、FOFA国际版等），测试流量须通过政务内网或甲方指定出口，严禁将任何测试数据、日志或漏洞信息上传至公网或境外服务器，所有测试过程日志、原始报文、截图等须完整留存，保存期限不少于2年，以备审计或监管检查。

七、附则

本规范作为服务方提供**市政务云渗透测试服务的强制性履约标准，具有法律与合同约束力。服务方须确保人员能力、流程合规性、交付质量与响应时效全面满足上述要求，切实支撑**市政务云构建"主动防御、精准预警、快速响应、闭环治理"的现代化安全运营体系。

采 购 人:

****

采购代理机构:

****

地 址：

****开发区九瑞大道96号

地 址：

**省**市丁公路38号

邮 编：

邮 编：

360400

联 系 人：

李先生

联 系 人：

邓淑娟

电 话：

0792-****569

电 话：

138****6089

电子邮件：

电子邮件：

****@chinaccs.cn

网 址：

www.****.cn

网 址：

开户银行：

****花园支行

账 号：

311********00013211